定義
不正アクセス禁止法（不正アクセス行為の禁止等に関する法律、2000 年施行）は、アクセス制御のかかったシステムに対して、他人の識別符号（ID・パスワード・生体情報など）を無断で入力する行為と、制御の弱点を突いて認証を回避する行為を「不正アクセス行為」と定める。2012 年の改正で、他人の識別符号を不正に取得・保管する行為や、フィッシングサイトの開設も処罰の対象に加わった。
ウェブシステムを狙う攻撃では、従来は EC サイトからクレジットカード情報を盗む被害が目立っていた。最近は、会員向けサービスや予約システムなどに登録された一般消費者の氏名・住所・連絡先が狙われる事案が増えている。マクニカの集計（2026 年 10 月 7 日公表）は、国内法人のウェブシステムからの個人情報漏洩の公表を 2024 年 1 月〜2026 年 10 月 6 日で 265 件数え、うち 81 件が 2026 年 7 月以降の公表だと報告した。
同じ記事は、ウェブシステムへの侵入の入口を一般論として三つに整理している。CMS やフレームワークなど共通ソフトウェアの脆弱性、推測やフィッシングで得た認証情報の悪用、API のアクセス権やセッション管理といった個別サイトの設定不備である。ただし 7 月以降の 81 件の 8 割は、公表から原因を読み取れない。盗まれた情報について筆者は、フィッシングメールや特殊詐欺で相手を信用させる材料に使われている可能性を挙げている。侵入を完全に防ぐことは難しく、「侵入されたとき、何がどれだけ持ち出せる状態だったか」が被害の大きさを決める。
Lemma での実装
Lemma は侵入そのものを検知する製品ではない。担うのは、侵入された先に原データが置かれていない構造をつくることである。本人確認や年齢・資格の確認で受け取る原データを保管せず、必要な属性だけを 選択的開示 の証明として受け取れば、サーバーに残るのは docHash と コミットメント だけになる。
AI エージェントが行う操作では、ID とパスワードを知っていることとは別に、権限そのものを証明させられる。Trust402 は、支払いの前に「このロールと上限の範囲で許された主体か」を ゼロ知識証明 で示させ、証明が通らない要求を実行前に止める。同じ考え方を、Lemma を経由するほかの操作の前段にも置ける。
事後の説明にも備える。Lemma を経由した読み取りは、誰が・いつ・どの範囲を読んだかが 監査証跡 として改ざん不能な形で残る。漏洩の届出や本人への通知で、少なくともこの経路で何が読まれたかは事実として示せる。